spam scripts met mod-security

[bbytes]

Wij hebben mod-security draaien en toch komt het soms voor dat een of andere idioot een spam script laat draaien. Wij gebruiken update.script voor mod-security en hebben hem net naar de laatste versie geupdate. 2 weken geleden gebeurde echter weer hetzelfde, omdat iemand een te makkelijk wachtwoord had gebruikt.

Wat gebruiken jullie om dit tegen te gaan of hebben jullie tips?

En ja ik weet de nieuwe setting van DA dat we moeilijke wachtwoorden kunnen enablen, maar Wefact ondersteund dit nog niet. Dus daar gaan we weer nat....

[ichosting]

Wat we momenteel veel zien, is dat er gespamd word doordat er een cgi script geupload word via een FTP upload. Dit FTP account is een geldige upload doordat de gegevens op de gebruiker zijn pc zijn achterhaald. Na het gestart te hebben, wordt het scriptje weer verwijderd.

Is dit precies hetzelfde als wat jij hebt?

[bbytes]

Het is inderdaad zoiets. Het begon vorig jaar al met dark.cgi. Deze was snel te blokkeren via mod-security. Tegenwoordig zie je inderdaad zulk soort constructies. cgi wordt geupload, gedraaid en verwijderd. Maar mod-security zou dit moeten blokkeren. De vraag is alleen hoe.

[Lite-On]

Ik heb zelf de spam cgi scriptjes kunnen oplossen door gebruik te maken van suPHP (php-cgi) en de /tmp te securen.
Scriptjes konden naderhand niet meer gestart worden.

Ook bij een van mijn klanten werd toen gebruik gemaakt van ftp login gegevens. De klant gebruikte regelmatig een web-ftp, waar waarschijnlijk de ftp gegevens op zijn achtergebleven.

[bbytes]

Omschakelen naar suPHP is wel een hele impact. Ik zocht het meer in tools / sec.holes die ik dicht kan maken.

[Lite-On]

Omschakelen naar suPHP is wel een hele impact. Ik zocht het meer in tools / sec.holes die ik dicht kan maken.

Om dit met wat tools op te lossen lijkt mij niet zo makkelijk. Op het DirectAdmin forum ben ik al meerdere topics tegen gekomen betreft hetzelfde probleem, als mogelijke oplossing komt suphp vaak naar voren.

[ichosting]

Probleem is alleen dat deze scriptjes de juiste rechten hebben om te worden uitgevoerd. Aangezien ze door de "user" worden ge-upload. Het blijft erg vervelend.

[marsipulami]

als ze door de user worden "geupload" dan weet je toch ook welke user? Wanneer het voorkomt user een ander wachtwoord geven. is misschien dweilen met de kraan open, maar ik kan me niet voorstellen dat ieder zijn wachtwoord gekraakt word

[bbytes]

Het wachtwoord van een user heb je niet in de hand. Je kan hooguit richtlijnen hanteren. Het blijft inderdaad dwijlen met de kraan open, maar we hebben nog genoeg ip adressen in onze ip space dus we kunnen swappen en wachten totdat de server weer van de blacklists is gehaald. Inmiddels heb ik ook al nagios aangepast die de blacklists voor ons monitored. Ik had alleen gehoopt om op een betere oplossing.

Heeft iemand de optie "Difficult Password Enforcement " overigens aangezet in DA? Wat doet dit met de huidige wachtwoorden? Hopelijk niks en wordt dit alleen bij vernieuwing of nieuwe accounts toegepast.

[marsipulami]

Het wachtwoord van een user heb je niet in de hand.

`

Niet voor die tijd nee, maar je kan het wachtwoord wel wijzigen/nieuwe sturen

[bbytes]

Het eerste wat wij doen is de gehele site offline brengen en een onderzoek starten. Je wil gewoon niet nogmaals de moelijkheid geven aan deze idioot. Wachtwoord reset is vanzelfsprekend.

[ichosting]

`

Niet voor die tijd nee, maar je kan het wachtwoord wel wijzigen/nieuwe sturen

Het probleem is dat als de gebruiker zijn pc niet opruimt, het vrolijk opnieuw begint, omdat de wachtwoorden dan weer opnieuw worden overgenomen door het botje dat draait op zijn pc.

In de FTP connections log kun je vaak wel zien welke user het is. Er wordt dan van verschillende ip's verbinding gemaakt (schijnt dat de IP's worden gedeeld oid). Deze user dan even aanspreken dat hij zijn pc moet scannen met Mallwarebytes en als alles schoon is, dan de gegevens resetten.

Het is erg omslachtig, maar er helpt niet veel tegen. Hoe moeilijk het wachtwoord ook is helaas.

@Bbytes, op welke blacklists sta je precies?

[bbytes]

We hebben de server al van bijna alle blacklists gehaald. Alleen blackscatter.org nog, maar die doet er sowieso al een maand over. Dus hebben nog even geduld.

Deze akties zijn inderdaad niet te stoppen, als de pc van de gebruiker gekraakt is. Het enige wat wij dus nu doen is live monitoring van de blacklisten via nagios en de load van de server in de gaten houden.

[Spyder01]

We hebben de server al van bijna alle blacklists gehaald. Alleen blackscatter.org nog, maar die doet er sowieso al een maand over. Dus hebben nog even geduld.

Deze akties zijn inderdaad niet te stoppen, als de pc van de gebruiker gekraakt is. Het enige wat wij dus nu doen is live monitoring van de blacklisten via nagios en de load van de server in de gaten houden.

Bij Blackscatter (erg irritante blacklist) kun je hem ook vrijkopen voor € 50,- volgens mij. Vraag is alleen of je dat wilt. Als het probleem telkens terug komt zou het een dure aangelegenheid worden. Of je moet inderdaad zoals je nu ook doet, van IP switchen voor je mailserver.

[bbytes]

Mee bekend Spyder en ik ben tegen betaling van een blacklist removal. Wij hebben er niet om gevraagd dat ze er zijn. Dus betalen doen we er al helemaal niet voor. Alleen voor R&D's willen wij geld uit geven.